Vazamento de dados pessoais: cabe indenização

O que a lei chama de dado pessoal

A Lei Geral de Proteção de Dados, a Lei 13.709/2018, organiza as regras sobre como empresas e órgãos podem coletar e usar informações das pessoas. Antes de falar em indenização, vale entender o vocabulário básico que ela traz no art. 5º.

Dado pessoal é qualquer informação que identifique ou possa identificar alguém: nome, CPF, e-mail, telefone, endereço. Existem ainda os dados sensíveis, que recebem proteção reforçada, como origem racial, convicção religiosa, opinião política, dados de saúde, vida sexual e informações genéticas ou biométricas. A pessoa a quem os dados se referem é o titular. Quem decide como tratá-los é o controlador, e quem os processa por conta dele é o operador.

Quando o vazamento pode gerar dever de indenizar

A LGPD prevê, no art. 42, que o controlador ou o operador que causar dano a outrem no exercício da atividade de tratamento de dados fica obrigado a repará-lo. O dano pode ser patrimonial, um prejuízo financeiro concreto, ou moral, um abalo à imagem, à privacidade e ao sossego.

Um ponto costuma gerar confusão: nem todo incidente resulta, por si só, em indenização. Em tese, é preciso demonstrar que houve o vazamento ou o uso indevido, que houve um dano e que existe ligação entre um e outro. Um vazamento sem qualquer consequência pode não render reparação, enquanto o uso dos dados para fraude, golpe ou exposição costuma pesar de forma diferente na análise.

De quem se pode cobrar a reparação

A responsabilidade recai sobre o controlador e, em certas situações, sobre o operador. A lei admite que respondam de forma solidária quando ambos tiverem contribuído para o dano, o que permite ao titular cobrar de qualquer um deles.

Há discussão sobre a natureza dessa responsabilidade. A LGPD não repete a fórmula "independentemente de culpa", e parte da doutrina defende que a reparação se apoia no risco da atividade, enquanto outra parte entende que se deve investigar a falha do agente. Quando o vazamento ocorre dentro de uma relação de consumo, tende a incidir também o Código de Defesa do Consumidor (Lei 8.078/1990), que adota a responsabilidade objetiva do fornecedor.

Dano moral: presumido ou a demonstrar?

Uma das perguntas mais frequentes é se o simples vazamento já gera dano moral automático. A resposta, em tese, tem variado conforme o caso. A jurisprudência tem distinguido o mero aborrecimento, que nem sempre justifica reparação, das situações em que há exposição relevante ou uso indevido das informações.

O vazamento de dados sensíveis, ou o emprego dos dados para abrir contas, contrair dívidas e aplicar golpes, tende a ser tratado com mais rigor do que a exposição de um dado cadastral simples. Cada situação é analisada pelo conjunto de circunstâncias, o que reforça a importância de reunir elementos concretos.

A ANPD e as sanções administrativas

A LGPD impõe às empresas o dever de adotar medidas de segurança para proteger os dados (art. 46) e de comunicar incidentes relevantes à Autoridade Nacional de Proteção de Dados e aos titulares afetados (art. 48). A ANPD é o órgão que fiscaliza o cumprimento da lei.

Convém separar dois planos. As sanções administrativas aplicadas pela ANPD, como advertência e multa, seguem regras próprias e revertem em favor do poder público. Elas não se confundem com a indenização civil, que é o valor eventualmente devido diretamente ao titular prejudicado. Uma coisa não exclui a outra.

Vale lembrar que a LGPD assegura ao titular um conjunto de direitos sobre seus dados, como confirmar o tratamento, acessar as informações, corrigir dados incompletos e pedir a eliminação em certas hipóteses. O exercício desses direitos é independente do pedido de indenização e pode ser feito diretamente à empresa.

Prazos, provas e caminhos possíveis

Quem se sente lesado pode buscar reparação pela via judicial e também registrar reclamação junto à ANPD e a plataformas oficiais de defesa do consumidor, quando cabível. A escolha do caminho depende do tipo de relação e do objetivo.

Sobre o prazo para pedir reparação, há divergência: parte dos julgados aplica o prazo de três anos do Código Civil para a reparação civil, e parte, nas relações de consumo, o prazo de cinco anos do art. 27 do CDC. Por isso, diante de dúvida, a orientação de um advogado ajuda a identificar o prazo correto e a via mais adequada. Documentar o incidente desde o primeiro momento continua sendo o passo mais seguro.